In Breve
- Qual è la vulnerabilità critica nel kernel Linux?
- La vulnerabilità CVE-2026-98432 mette a rischio i server self-hosted, in particolare quelli che utilizzano il protocollo Xray.
- Come può un server vulnerabile essere compromesso?
- Un attaccante può compromettere un server vulnerabile in circa 53 minuti senza interazione dell'utente.
- Cosa devono fare gli amministratori di server self-hosted?
- Devono applicare le patch necessarie seguendo una procedura specifica o adottare mitigazioni temporanee.
Una vulnerabilità critica del kernel Linux, identificata come CVE-2026-98432, è stata recentemente scoperta e rappresenta una seria minaccia per i server self-hosted che ospitano servizi VPN. Questa falla, presente dal rilascio della versione 4.4 del kernel, ha un punteggio di gravità di 9,8, il che indica un alto livello di rischio.
In particolare, i server che utilizzano il protocollo Xray e la funzionalità MPTCP sono maggiormente esposti. La vulnerabilità è causata da una race condition nel codice che gestisce le nuove connessioni TCP IPv4. Un attaccante potrebbe sfruttare questa falla per compromettere completamente un server vulnerabile in meno di un’ora, senza necessità di interazione da parte dell’utente e senza l’uso di password.
Fortunatamente, i server gestiti da provider, incluse le versioni Premium, Free e Business, non risultano interessati, poiché l’infrastruttura è già stata aggiornata e verificata. Tuttavia, gli amministratori che gestiscono server in proprio devono prendere immediatamente provvedimenti per proteggere i propri sistemi.
Xray, il motore utilizzato da protocolli resistenti alla censura come VLESS, è considerato ad alto rischio. Essendo sviluppato in Go, abilita MPTCP di default, il che può lasciare la vulnerabilità attiva in modo invisibile. Per i server gestiti tramite l’app, è disponibile una procedura in tre passaggi per applicare la patch necessaria, che richiede la versione 5.1.0.6 o successive dell’app:
- Rimuovere Xray dalla scheda Protocols del server.
- Selezionare “Update server packages” dalla scheda Management e riavviare la macchina per caricare il kernel patchato.
- Reinstallare Xray dalla scheda Protocols, assicurandosi di utilizzare la versione corretta 26.10.31.
Durante questa operazione, il server rimarrà offline e le connessioni Xray esistenti saranno interrotte, quindi sarà necessario ripristinare l’accesso per gli utenti.
Tuttavia, è importante notare che la funzione di aggiornamento dall’app non garantisce sempre che il kernel sia effettivamente patchato. In alcune versioni di Ubuntu, la correzione è disponibile solo nel canale di testing “-proposed”, e un successivo riavvio potrebbe riportare la macchina in uno stato vulnerabile fino a una nuova reinstallazione di Xray.
Se non è possibile applicare immediatamente la patch al kernel, si consiglia di adottare alcune mitigazioni temporanee, come l’implementazione di una regola firewall per bloccare le IP options o la rimozione di Xray, migrando al profilo UDP AmneziaWG. Prima di questa segnalazione, erano già stati rilasciati aggiornamenti per Xray-core a settembre, insieme a un aggiornamento obbligatorio per gli utenti Premium e Free.
